CVE-2024-48245
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
Vehicle Management System 1.0 zawiera podatność na wstrzykiwanie SQL. Niezalogowany użytkownik może wykorzystać parametry POST w akcjach administracyjnych, takich jak rezerwacja pojazdu czy potwierdzenie rezerwacji. Podatne parametry to "Booking ID", "Action Name" i "Payment Confirmation ID" w plikach /newvehicle.php i /newdriver.php.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, wykraść wrażliwe dane (np. dane klientów, płatności) lub zmodyfikować zawartość systemu, co prowadzi do naruszenia poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie do najnowszej wersji lub zastosować poprawkę zabezpieczającą. W międzyczasie zaleca się walidację i sanityzację wszystkich danych wejściowych oraz używanie przygotowanych zapytań (prepared statements) w kodzie PHP.
Inne podatności w Vehicle Management System
Zobacz wszystkie- CVE-2026-85517Średnie
Wykryto wadę w code-projects Vehicle Management System 1.0. Dotyczy ona nieznanej funkcji pliku /vehicle_management.sql w komponencie SQL Database Backup File Handler. Wykonanie manipulacji może prowadzić do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.
- CVE-2026-85516Wysokie
Vehicle Management System 1.0 od code-projects zawiera podatność SQL injection w pliku /busprofile.php. Manipulacja argumentem busid pozwala na zdalne wykonanie zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
Vehicle Management System 1.0 is vulnerable to SQL Injection. A guest user can exploit vulnerable POST parameters in various administrative actions, such as booking a vehicle or confirming a booking. The affected parameters include "Booking ID", "Action Name", and "Payment Confirmation ID", which are present in /newvehicle.php and /newdriver.php.